對中國網絡安全行業來說，2015年無疑是濃墨重筆的一年;但如果再要從激情澎湃的網絡安全領域挑選兩個最重大的事件的話，51CTO記者認為，一是中國網絡安全立法工作取得了重大突破，另一個就是中國網絡安全競技領域的迅速崛起——前者是國家戰略，后者卻是民間推動。甚至可以說，2015年就是中國網絡安全競賽的元年!這一年，無論對中國的網絡安全競技領域還是中國網絡安全人才的培養，都發生了重大變化，且將產生深遠的影響。

[[162679]]

數量過百場：競賽熱突然爆發遍布神州

網絡安全競賽源于一種黑客之間的對抗游戲。1996年，全球頂級黑客大會DEFCON率先舉行了CTF(Catch The Flag，一般譯為“奪旗賽”)安全競技大賽，此后每年與DEFCON大會同期舉行，逐步形成類似“世界杯”足球賽的世界頂級安全競技大賽。

中國的安全競技行業在2014年之前的發展其實相當緩慢。2010年前后，CTF競賽通過各種渠道陸續進入中國，首先在中國的部分高校陸續組建了一些安全競賽的戰隊雛形。2012年，由清華大學藍蓮花戰隊、成都信息工程學院(現成都信息工程大學)三葉草戰隊和上海交大0ops戰隊等組成中國聯隊首次參加DEFCON CTF大賽，闖入前20名。此后三年，以藍蓮花為首的中國戰隊連續三年闖入前6名。中國網絡安全戰隊在世界有了一席之地。

但與世界大賽的迅速發展相比，中國國內的安全競技比賽發展并不快速。記者查詢了網上的資料，能查到的全國性質比賽基本上是從2014年開始的，稍有影響力(或者說尚能查到的)只有3月的BCTF、北京首屆“429”網絡安全日、5月CNCERT首屆比賽、7月的四川省大學生比賽以及年底的“湖湘杯”比賽等聊聊幾場而已。但一跨入2015，情況發生了極其明顯的改觀!

記者通過對各方進行了解，并結合互聯網上的資料，整理了一下這份2015年中國國內網絡安全競賽不完整名單：

之所以說是“不完整”名單，一方面記者聽說還有不少的比賽，但可惜資料不全;第二是僅51CTO記者所知，就有約30場部分行業、單位組織的不公開的安全競賽。初步估算，2015年全國舉行的各級各類安全競賽肯定超過百場!

安全競賽需要一個相當復雜準備，尤其是攻防對抗的比賽比單純的答題賽需要準備的時間更長、復雜性更高，而這些工作其實一直都是一些安全企業的研發和服務人員兼職。曾服務“湖湘杯”的北京某公司技術專家劉博鶴曾在2015年中期告訴記者，從3月之后，他每個月都有比賽要支撐，這頻度是他此前從未想象過的;而2015年底記者再見到他，他基本上已經全職負責比賽支持了。在這一年，僅他參與支持的比賽就超過30場!

必須說明的是，2015年中國網絡安全競賽增加的不僅僅是數量。從上表可以看出，如今組織網絡安全競賽的單位已經跨越多個行業、多個地域。從華東到西部，從電信到教育，從普及型的比賽到專業、規范的XCTF，各級各類比賽已經遍布神州!所有這些，都讓我們有足夠的理由宣布：中國網絡安全競賽，已經進入了一個全新的時代。

[[162680]]

高水平：賽制變化引發比賽更難更好看

2015年的網絡安全競賽與此前明顯不同的其實還有比賽的組織形式和參賽人員的技戰術水平。

2015年以前，中國為數不多的網絡安全競賽基本上是以答題為主。這種賽制組織相對簡便，參賽人員可以比較多;但其弊端也非常明顯，那就是發展到一定程度之后，比賽就變成了類似“奧數”的知識競賽，這就與網絡安全本身希望培養攻防實戰能力初衷出現了偏移。

回顧從近兩年的網絡安全比賽歷史，記者發現2014年12月的“湖湘杯”比賽應該是中國網絡安全競賽的賽制發展上值得關注的一場比賽。這場全國級別的比賽率先采用兩級賽制，初賽采用答題方式，最終的決賽采用現場對抗方式——所有這些，與全球的CTF比賽模式已經相當接近。

不知道是不是受到“湖湘杯”的影響，接下來舉辦的兩場第二屆國家級別的大型比賽——2015年4月和6月分別舉行的北京“429”首都網絡安全日第二屆網絡安全技術大賽和CNCERT第二屆中國網絡安全攻防大賽——都不約而同地改變了第一屆的答題賽制，變為類似人人對抗和人機對抗混合的實戰對抗方式，也都取得了非常好的效果。自此之后，2015年幾乎所有國家級的主流網絡安全競賽模式都采用了類似模式，從而實現了與國際賽制的接軌。

國家互聯網應急中心(CNCERT)運行處副處長李佳在2015年6月曾接受過51CTO記者的采訪，他介紹說：“和傳統的奪旗(答題)賽相比，我們采用了新的AWD(攻防兼備)的比賽模式，這種模式環境搭建復雜度增加了很多，對技術支持的要求也增加了很多，我們和技術支持單位為之付出了巨大的努力。”承擔了2015年半數以上安全競賽技術支持的北京永信至誠科技股份有限公司總經理李煒說：“比賽的形式除了教育公眾之外，也是要發現好的苗子，這對很多單位、企業還是一個剛需;但從院校等傳統方式培養的人才實際經驗不足，達不到他們所期待的水平。正是因為有這樣的供需矛盾，才促使我們研發出AWD(攻守兼備)模式的競賽形式，來考驗選手的綜合能力，選拔出真正的人才。”

與賽制相適應的當然是參賽水平的提高。新的比賽形式，要求參賽隊伍的綜合能力更高，對抗性更強，對攻擊和防御兩方面的能力要求更高。而隨著比賽的密度逐步增加，參賽隊員的水平水漲船高。2015年ISC比賽冠軍團隊、華東交通大學參賽選手嚴敏睿在接受采訪時介紹說：“相比之前，2015年選手的整體水平上升了，打醬油的少了很多，‘賽棍’也越來越多了，經常看到一些熟悉的面孔。題目上的水平也提高了。”類似的感覺并不在少數。核心骨干出自著名的藍蓮花戰隊的北京長亭科技組成“長亭外”戰隊，在上半年連續征戰北京“429”和CNCERT兩場大賽，志在必得的他們連續得到了兩個第二名，戰隊主力陳宇森在表達遺憾之余，也對國內比賽總體水平的提高感到高興。參與過數十場比賽的北京某公司現場支持許學偉對記者提起一個印象頗深的“好玩的事兒”，2015年11月在上海舉行的“東華春秋杯”，0ops戰隊可能出于鍛煉隊伍的目的派出新選手，但因戰隊在圈內知名度最高，反成主要攻擊對象，從比賽開始就被其他各隊一直攻擊到比賽結束，最后竟然不幸成為“吊車尾”。許學偉能明顯感覺到，下半年的比賽水平和激烈程度，比上半年已經有了大幅度的提升。

也許可以作為國內比賽水平逐步提升的一種例證，在2015年8月舉辦的DEFCON CTF大賽上，中國三支戰隊——百度藍蓮花、0ops和臺灣HITCON戰隊——分獲4-6位。而三支參賽隊伍的絕大多數隊員，其實都已經在XCTF聯賽上經受了種種考驗，這種經歷在2014年之前是不可想象的。

還有一個賽制引起的連鎖反應必須要提及，那就是新賽制引發的現場比賽可看性明顯增強，現場直播逐步成為2015年網絡安全競賽的“標配”，這一點和2014年之前的類似于筆試場面的網絡安全競賽形成了鮮明的對比。記者在現場看到，在四川省高校安全競賽的時候，原本每次比賽開始后各位領導老師們會趁空閑開會，但這次進行了現場直播，現場的攻防對抗和得分情況實時體現在會議室的大屏幕上，就算在中午吃飯時間，還有幾個老師緊盯著屏幕不肯離開。ISC比賽期間3位年輕小伙子實現了全天約7個小時的不間斷現場直播講解，讓比賽現場從始至終都圍滿了觀戰的人群。這些雖然不是比賽的核心點，但也給2015年的網絡安全競賽添加了一抹亮色——安全競賽不僅能讓內行看得目不轉睛，也可以讓“外行”覺得“有趣”，這無疑對網絡安全技術的大眾化普及意義頗深，甚至可以說對整個行業的發展都將起到積極的促進作用。

[[162681]]

影響深：競賽興起促人才培養與選拔模式變革

之所以將2015年定義為“網絡安全競賽元年”，也是因為在這一年，安全競賽這種形式真正開始形成了自己的產業鏈，深入影響到其他領域，特別是安全人才培養領域。

有數據顯示，到2017年，國內信息安全人員缺口約150萬，全球范圍內約450萬。而相對應的是每年我們的各類專業教育機構只能輸出2萬名左右的相關人員。在網絡安全已經上升為國家戰略的情況下，人才的稀缺問題就更加凸顯——無論是中國、美國還是其他國家。在這樣的背景下，各個機構和行業都有需求和動機用各種方式挖掘人才;而與培養人才的長期化相比，通過競賽的形式快速選拔和發現人才，顯然是更“高效”的方式。如李煒所說，“安全競賽是有實際意義的，那就是發現人才。這也是今年安全競賽井噴的重要原因。”

以iOS越獄揚名世界的盤古團隊(犇眾信息)CEO韓爭光曾親臨11月“東華春秋杯”大賽來“求賢”，他在接受記者采訪時說：“企業挑選人才，光看理論知識水平，沒有檢驗學習成果，肯定是不行的。”不難看到，當下很多企業都更強調人才在實際業務中的動手能力和綜合素質，這對于網絡安全領域來說，更是尤為重要。而一個安全人才從學校畢業到工作，必須經歷一系列歷練，在不同的歷練階段都需要知道下一步要學什么、練什么，并進行足夠的自我能力完善，才能真正為企業所用;而競賽就可以看作是對安全人才各階段性能力的一次綜合檢驗，它能告訴我們什么方面還有短板，下一階段的努力方向究竟為何。“我們希望在這個競賽抗衡的過程中，讓你知道你自己的不足，然后下一步你去找相應的資源去學。通過和高手過招，把每個必要的技術點和知識點串起來，形成自己的思考;有了這種思考，安全人才就有了不斷進步的動力和目標。”永信至誠CTO張凱如是說。

在安全人才需求爆發而尋找人才沒有更好的途徑下，安全競賽在攻防能力檢驗方面的成功，就自然而然地成了眾多單位 “挖人”的重要途徑。2015年8月，在全國暨四川省大學生網絡安全競賽上，記者遇到了七八個單位的代表前來觀摩，他們的任務很簡單——挖人。比賽中表現優異的人，就會早早被他們盯上，甚至在學業未完成之前就被高薪挖走。

有“搶”的就有“保”的。在9月舉行的福建省第一屆網絡安全技能競賽中，主辦方開出的獎勵條件堪稱“震撼”：國家互聯網應急中心福建分中心聘任部分優秀選手為福建省網絡安全專家;各主辦單位也為個人成績排名前列的選手分別頒發了一系列耀眼的榮譽稱號，包括“福建省技術能手”、“福建省金牌工人”、“省五一巾幗標兵”、“福建省青年崗位能手”等;同時，比賽的優勝選手一同獲得相應的職業資格證書。所有這些榮譽，別說是安全領域，就算在IT領域都是難以想象的。

編后：我們需要什么樣的安全競賽?

2015年為什么會出現國內安全競賽的“井噴”?在51CTO記者看來，這與中國戰隊在國際大賽中的積累其實關系不大，也并不是中國的安全人才的水平有了多大的提升;其中的關鍵，其實還是中國網絡和信息安全人才需求“藍海”的一個折射。競賽熱的背后，既反映了中國安全人才需求的緊迫性，也反映了大家對攻防人才兩方面需求的真實現狀。

換言之，推動中國安全競賽水平、賽制和密度的提升，關鍵點并不是競賽本身的題目難度有多高，而是它究竟能在多大程度上全面體現安全人才的素質并承擔選拔的目的。

采訪過程中，資深安全專家李煒的一番話給記者的印象頗為深刻。在他看來，現在的安全行業需要兩類人：第一，實戰能力較強的人才，對實際業務的理解稍弱，但是這類人是知道在受到網絡攻擊的時候要怎么去防，他是解決問題的人，這種人現在是企業特別急需的;第二種人是既懂安全又懂業務的，他的技術能力不如第一種人突出，但是他的知識面廣，對企業業務非常了解，他有能力將基礎技術應用到業務和工作當中，這種人不論是在中小企業、大型企業還是超大型企業都非常缺少的。在未來的安全競賽中，這兩種人才的競爭和選拔必須通過不同的方式選拔出來。

所以，我們可以想象，今后的安全競賽可能會向不同的方向拓展。2015年中國安全競賽的突破，其實是增加了檢驗選手攻防對抗能力、心理素質等衡量標準;而今后的安全競賽，我們很有可能看到更加結合企業實際生產環境、案例場景等模擬實際情況的題目，讓選手在接近于行業特征的環境中迎接挑戰、檢驗水平。

我們大膽的預言：2016年，我們將迎來更貼近實戰的安全競賽。唯此，中國的安全競賽才能越走越快、越走越深、越來越贏得企業的歡迎和認可!